I.Bendrosios nuostatos
1.Asmens duomenų tvarkymo taisyklės nustato asmens duomenų (toliau – AD) apsaugos principus, asmens duomenų tvarkymo ir duomenų subjekto teisių įgyvendinimo tvarką, MB “Bravo idėja“ (toliau – Bendrovė) naudojamas asmens duomenų apsaugos priemones (procesus).
2.Asmens duomenų tvarkymo taisyklės periodiškai peržiūrimos ir, jei reikia, atnaujinamos, o taip pat vykdoma nuolatinė taisyklių įgyvendinimo stebėsena ir kontrolė.
3.Asmens duomenų tvarkymo taisyklės parengtos vadovaujantis 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentu (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (toliau – BDAR), direktyvos 95/46/EB 29 straipsnio darbo grupė 29 straipsnio duomenų apsaugos darbo grupės gairėmis, Valstybinės duomenų apsaugos inspekcijos metodine medžiaga (viešosiomis konsultacijomis ir kt.).
4.Taisyklėse vartojamų sąvokų turinys atitinka BDAR ar kituose asmens duomenų tvarkymą reglamentuojančiuose LR galiojančiuose teisės aktuose, nurodytas sąvokas.
II.Asmens duomenų tvarkymo principas
5.AD Bendrovėje tvarkomi vadovaujantis pagrindiniais AD apsaugos principais:
5.1 AD tvarkomi duomenų subjekto atžvilgiu teisėtu, sąžiningu ir skaidriu būdu;
5.2 AD renkami apibrėžtais bei teisėtais tikslais ir toliau netvarkomi su tais tikslais nesuderinamu būdu;
5.3 AD turi būti adekvatūs, tinkami ir tik tokie, kurių reikia siekiant tikslų, dėl kurių jie tvarkomi;
5.4 AD turi būti tikslūs ir prireikus atnaujinami;
5.5 AD turi būti laikomi tokia forma, kad tapatybę būtų galima nustatyti ne ilgiau, nei tai yra būtina tais tikslais, kuriais AD yra tvarkomi;
5.6AD turi būti tvarkomi tokiu būdu, kad būtų užtikrintas tinkamas AD saugumas;
5.7Bendrovė turi sugebėti įrodyti, kad šių principų yra laikomasi.
III.Asmens duomenų tikslas
6.AD tvarkymo tikslai ir baigtinis AD sąrašas
7.Bendrovė AD tvarko šiais tikslais ir tik tokia apimtimi:
7.1 Elektroninės prekybos tikslu – el. pašto adresas, gyv. vieta ir/arba pristatymo adresas, pavardė, vardas, identifikacinis numeris, telefono numeris, pirkimo informacija (pirkiniai, pirkinių suma, pirkimo data);
7.2 Tiesioginės rinkodaros tikslu – el. pašto adresas, gyv. vieta (adresas), pavardė, vardas, telefono numeris;
7.3 Jeigu turite įmonę ar individualią veiklą ir norite, jog užsakymų sąskaitose faktūrose atsispindėtų ši informacija, tuomet pateikiant užsakymą/registruojantis elektroninėje parduotuvėje taip pat galite pateikti šiuos duomenis: įmonės pavadinimas/vardas pavardė, registracijos numeris/veiklos pažymėjimo numeris, PVM mokėtojo kodas.
8.Teisinis pagrindas tvarkyti AD. Bendrovė AD tvarko teisėtai, vadovaudamasi žemiau nurodytu teisiniu pagrindu:
8.1 Elektroninės prekybos tikslu – siekiama įvykdyti sutartį; 8.2Tiesioginės rinkodaros tikslu – duomenų subjekto duoto sutikimo pagrindu;
9.Bendrovėje duomenų subjekto sutikimo pagrindu AD tvarkomi tiesioginės rinkodaros tikslu.
10.Atsižvelgiant į duomenų valdytojui nustatytą pareigą, galėti įrodyti duomenų subjekto duoto sutikimo faktą, Bendrovė sutikimo iš duomenų subjekto prašo raštu ar elektroninėmis priemonėmis, sutikimo turinį aiškiai atskiriant nuo kitų klausimų, pateikiant suprantama ir lengvai prieinama forma.
11.Prieš sutikimo davimą duomenų subjektas informuojamas apie teisę bet kuriuo metu atšaukti sutikimą. Sutikimo atšaukimas nedaro poveikio sutikimu pagrįsto duomenų tvarkymo, atlikto iki sutikimo atšaukimo, teisėtumui.
12.Darbuotojas arba Bendrovės atstovas, aptarnaujantis duomenų subjektą, prieš pateikdamas pasirašyti duomenų subjektui sutikimą privalo:
12.1 pateikti informaciją, kuri privalomai pateikiama AD rinkimo iš duomenų subjekto metu;
12.2 trumpai paaiškinti duomenų subjektui, kodėl reikalingas sutikimas ir kokiu tikslu bus tvarkomi jo AD;
12.3 atsakyti į duomenų subjekto pateiktus klausimus, susijusius su sutikimu.
13.Bendrovė duomenis saugo: 13.1 neaktyvios paskyros 4 mėn. Nuo paskutinės apsilankumo datos.
13.2 aktyvios paskyros 6 mėn. Nuo paskutinės apsilankymo datos.
IV.Duomenų subjektų teisės ir jų įgyvendinimas
14.Duomenų subjektai turi šias teises:
16.1teisę žinoti (būti informuotam) apie savo AD tvarkymą Bendrovėje;
16.2teisę susipažinti su Bendrovėje tvarkomais savo AD;
16.3teisę reikalauti ištaisyti AD;
16.4teisę reikalauti ištrinti AD („teisė būti pamirštam“);
16.5teisę apriboti AD tvarkymą; 16.6teisę nesutikti su AD tvarkymu;
16.7teisę į AD perkeliamumą. 15.Duomenų subjektas, siekdamas įgyvendinti
16. p. nurodytas teises, privalo paštu, per pasiuntinį ar el. ryšių priemonėmis pateikti rašytinį prašymą (Prašymas). Prašymas pateikiamas šioje internetinėje svetainėje nurodytais kontaktais. 16.Prašyme turi būti nurodytas duomenų subjekto vardas, pavardė, asmens kodas, informacija apie tai, kokią
16. p. nurodytą teisę ir kokios apimties pageidauja įgyvendinti. Pateikdamas Prašymą, duomenų subjektas privalo patvirtinti savo tapatybę.
17.Bendrovė turi teisę atsisakyti imtis veiksmų pagal Prašymą, jeigu Prašymas yra nepagrįstas arba neproporcingas. Tokiu atveju Bendrovė privalo raštu nurodyti tokio atsisakymo motyvus. 18.Bendrovė Prašymą privalo išnagrinėti ir atsakymą duomenų subjektui pateikti ne vėliau kaip per 30 kalendorinių dienų nuo Prašymo gavimo dienos. Atsakymas pateikiamas tokiu būdu, kokiu buvo gautas, išskyrus atvejus, kai duomenų subjektas prašo atsakymą pateikti kitokia forma.
19.Atsakymo duomenų subjektui pateikimo laikotarpis gali būti pratęstas dar dviem mėnesiams, atsižvelgiant į Prašymo sudėtingumą ir nagrinėjamų Prašymų skaičių. Tokiu atveju duomenų subjektas per 30 kalendorinių dienų nuo Prašymo gavimo dienos informuojamas apie Prašymo nagrinėjimo termino pratęsimą, nurodant termino pratęsimo priežastis.
20.Jeigu Bendrovė nesiima veiksmų pagal Prašymą, Bendrovė nedelsdama, tačiau ne vėliau kaip per vieną mėnesį nuo prašymo gavimo, informuoja duomenų subjektą apie neveikimo priežastis ir apie galimybę pateikti skundą priežiūros institucijai bei pasinaudoti teisių gynimo priemone.
21.Teisė žinoti (būti informuotam) apie AD tvarkymą. Teisė žinoti apie AD tvarkymą įgyvendinama AD rinkimo iš duomenų subjekto metu, pateikiant: o Bendrovės (jo atstovo) kontaktinius duomenis; o AD tvarkymo tikslus ir teisinį pagrindą; oduomenų gavėjus (jeigu yra); oinformaciją apie AD saugojimo laikotarpį; o informaciją apie duomenų subjektų teises (žr. 4.1 p.); o apie teisę atšaukti sutikimą (kai AD tvarkomi sutikimo pagrindu); oteisę pateikti skundą priežiūros institucijai; oinformaciją apie AD pateikimo privalomumą ar apie galimas AD nepateikimo pasekmes.
22.Teisė susipažinti su Bendrovėje tvarkomais savo AD. Duomenų subjektas turi teisę iš Bendrovės gauti patvirtinimą apie jo AD tvarkymą, o esant patvirtinimui – turi teisę susipažinti su savo AD ir toliau nurodyta informacija apie: oAD tvarkymo tikslus; oAD kategorijas; oduomenų gavėjus ar jų kategorijas; oAD saugojimo laikotarpį (-ius); oteisę prašyti ištaisyti arba ištrinti AD, apriboti AD tvarkymą arba nesutikti su tokiu tvarkymu; oteisę pateikti skundą priežiūros institucijai; o AD šaltinius, kai AD renkami ne iš duomenų subjekto.
23.Teisė reikalauti ištaisyti AD. Duomenų subjektas, nustatęs, kad AD yra netikslūs ar neišsamūs, turi teisę kreiptis su Prašymu ištaisyti tvarkomus netikslius AD ar papildyti neišsamius AD. Esant pagrįstam prašymui, Bendrovė privalo: one vėliau kaip per 5 darbo dienas, ištaisyti neišsamius ar netikslius AD; onesant galimybių laiku ištaisyti AD, apriboti neišsamių ar netikslių AD tvarkymo veiksmus; oNe vėliau kaip per 5 darbo dienas nuo neišsamių ar netikslių AD ištaisymo informuoti: oduomenų subjektą apie ištaisytus neišsamius ar netikslius AD; oduomenų gavėjus apie duomenų subjekto Prašymu ištaisytus neišsamius ar netikslius AD.
24.Teisė reikalauti ištrinti AD („teisė būti pamirštam“). Duomenų subjektas turi teisę kreiptis su Prašymu ištrinti su juo susijusius AD, jeigu: oAD nebėra reikalingi tikslams, kurie buvo nustatyti, prieš juos renkant; oatšauktas duomenų subjekto sutikimas, kuriuo buvo grindžiamas AD tvarkymas; oduomenų subjektas nesutinka su savo AD tvarkymu pagal BDAR 21 str. 1 d. ir nėra viršesnių teisėtų priežasčių tvarkyti AD arba nesutinka su AD tvarkymu pagal BDAR 21 str. 2 d.; oAD buvo tvarkomi neteisėtai; oAD turi būti ištrinti pagal ES teisės aktuose ar LR teisės aktuose nustatytas teisines prievoles.
25.Duomenų subjekto Prašyme turi būti nurodytas pagrindas.
26.Teisė reikalauti ištrinti AD („teisė būti pamirštam“) gali būti neįgyvendinama tik teisės aktuose nustatytais atvejais.
27.Nustačius, kad duomenų subjekto Prašymas yra pagrįstas, Bendrovė privalo: one vėliau kaip per 5 darbo dienas, ištrinti AD; onesant galimybių laiku ištrinti AD, apriboti AD tvarkymą veiksmus;
28.Ne vėliau kaip per 5 darbo dienas nuo AD ištrynimo informuoti: oduomenų subjektą apie ištrintus AD; oduomenų gavėjus apie duomenų subjekto Prašymu ištrintus AD.
29.Teisė apriboti AD tvarkymą. Duomenų subjektas turi teisę kreiptis su Prašymu apriboti AD tvarkymą, jeigu: oduomenų subjektas užginčija AD tikslumą laikotarpiui, per kurį Bendrovė gali patikrinti AD tikslumą; o AD tvarkymas yra neteisėtas ir duomenų subjektas nesutinka, kad AD būtų ištrinti, ir vietoj to prašo apriboti jų tvarkymą; o Bendrovei nebereikia AD jų tvarkymo tikslais, tačiau jų reikia duomenų subjektui siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus; oduomenų subjektas pateikė Prašymą, kuriame išreiškė nesutikimą su jo AD tvarkymu. Tokiu atveju AD tvarkymas gali būti apribotas laikotarpiui, per kurį patikrinamas tokio Prašymo pagrįstumas; o duomenų subjektas pateikia Prašymą ištaisyti ar ištrinti jo tvarkomus AD ir nustatoma, kad Prašymas yra duomenų, tačiau nėra techninių galimybių duomenų subjekto AD laiku ištaisyti ar ištrinti. Tokiu atveju AD tvarkymas gali būti apribotas iki tol, kol duomenų subjekto AD bus ištaisyti ar ištrinti.
30.Nustačius, kad duomenų subjekto Prašymas yra pagrįstas, Bendrovė privalo: oapriboti duomenų subjekto AD tvarkymą; one vėliau kaip per 5 darbo dienas nuo sprendimo dėl AD tvarkymo apribojimo priėmimo informuoti duomenų subjektą apie jo AD tvarkymo apribojimą; one vėliau kaip per 5 darbo dienas nuo sprendimo dėl duomenų subjekto AD tvarkymo apribojimo priėmimo informuoti duomenų gavėjus apie tokį sprendimą.
31.Priėmus sprendimą panaikinti apribojimą tvarkyti duomenų subjekto AD, Bendrovė, prieš panaikindama apribojimą, privalo raštu informuoti duomenų subjektą.
32.Teisė nesutikti su AD tvarkymu oKai duomenų subjektas nesutinka su AD tvarkymu siekiant įvykdyti sutartį, duomenų subjektas informuojamas apie tokio nesutikimo pasekmes – negalėjimą su duomenų subjektu sudaryti (vykdyti) sutarties. oKai AD tvarkomi tiesioginės rinkodaros tikslais, Duomenų subjektas turi teisę bet kuriuo metu nesutikti, kad jo AD būtų tvarkomi tokios rinkodaros tikslais. Tokiu atveju, duomenų subjekto AD tiesioginės rinkodaros tikslais nebetvarkomi.
33.Teisė į AD perkeliamumą. Duomenų subjektas turi teisę kreiptis su Prašymu gauti su juo susijusius AD bei turi teisę prašyti persiųsti Bendrovės tvarkomus jo AD kitam duomenų valdytojui, jeigu yra šios sąlygos: o AD tvarkymas yra grindžiamas duomenų subjekto sutikimu arba vykdoma sutartimi; o AD yra tvarkomi automatizuotomis priemonėmis; oduomenų subjektas AD, kuriuos ketina persiųsti kitam duomenų valdytojui, pateikė pats; oduomenų subjekto pateikti AD yra susisteminti bei pateikti įprastai naudojamu ir kompiuteriu skaitomu formatu.
34.Bendrovė privalo ne vėliau kaip per 10 darbo dienų, atlikti Prašymo pagrįstumo vertinimą.
35.informacija gali būti pateikiama: oduomenų subjektui; o kitam duomenų valdytojui, jeigu: i) duomenų subjektas Prašyme nurodo, kad Bendrovė AD turėtų persiųsti kitam duomenų valdytojui; ii) yra techninės galimybės pateikti AD tiesiogiai kitam duomenų valdytojui.
